概要
Admidioはオープンソースのユーザ管理ソリューションです。バージョン5.0.0から5.0.6までの間において、documents and filesモジュールは現在のユーザがフォルダやファイルを削除する権限を持っているかどうかを検証していませんでした。modules/documents-files.php内のfolder_deleteおよびfile_deleteアクションハンドラは、delete()を呼び出す前にVIEW認可チェック(getFolderForDownload / getFileForDownload)のみを実行し、CSRFトークンの検証を行いませんでした。対象のUUIDは$_GETから読み取られるため、削除は単純なHTTP GETリクエストでトリガー可能でした。モジュールがパブリックモード(documents_files_module_enabled = 1)の場合かつフォルダが公開状態(fol_public = true)の場合、認証されていない攻撃者がドキュメントライブラリ全体を永久に破壊することが可能でした。モジュールがログインを要求する場合でも、閲覧専用権限しか持たないユーザが読むことのみ許可されたコンテンツを削除できました。この問題はバージョン5.0.7で修正されています。
技術情報
- 公開日: 2026-03-25T11:21:26+09:00
- 更新日: 2026-03-25T11:21:26+09:00
参考リンク
対処方法
該当ソフトウェアの最新版への更新、または開発元が提供する緩和策の適用を推奨します。運用環境に応じて事前検証の上で実施してください。
免責
本記事は公開情報をもとに自動集約された速報です。正確性・完全性は保証できません。必ず一次情報（上記リンク等）をご確認ください。
